انتقل إلى المحتوى الرئيسي

وثائق الامتثال لاعتراض ANSSI R226

غرض الوثيقة: توفر هذه الوثيقة المواصفات الفنية المطلوبة للحصول على تفويض ANSSI R226 بموجب المواد R226-3 و R226-7 من القانون الجنائي الفرنسي لشبكة OmniCSCF IMS Core (وظائف التحكم في جلسات المكالمات).

التصنيف: وثائق الامتثال التنظيمي

السلطة المستهدفة: الوكالة الوطنية لأمن نظم المعلومات (ANSSI)

التنظيم: R226 - حماية خصوصية المراسلات والاعتراض القانوني

1. المواصفات الفنية التفصيلية​

1.1 تعريف النظام​

اسم المنتج: OmniCSCF IMS Core Network
نوع المنتج: شبكة IP Multimedia Subsystem (IMS) Core
الوظيفة الأساسية: التحكم في جلسات المكالمات VoIP/VoLTE وتقديم الخدمات متعددة الوسائط
نموذج النشر: بنية تحتية للاتصالات في الموقع

مكونات الشبكة:

  • P-CSCF (وظيفة التحكم في جلسات المكالمات الوكيلة)
  • E-CSCF (وظيفة التحكم في جلسات المكالمات الطارئة)
  • I-CSCF (وظيفة التحكم في جلسات المكالمات الاستعلامية)
  • S-CSCF (وظيفة التحكم في جلسات المكالمات الخدمية)

يتعامل هذا النظام مع التسجيل، والمصادقة، وتوجيه الجلسات، والتحكم في المكالمات لشبكات IP Multimedia Subsystem (IMS). يتم وصف قدرات الاعتراض التفصيلية وخصائص التشفير في الأقسام أدناه.

1.2 قدرات الاعتراض​

1.2.1 تسجيل واستحواذ الجلسة​

التقاط تسجيل SIP:

يعالج نظام CSCF جميع تسجيلات SIP ويحافظ على حالة التسجيل الكاملة:

  • معرفات المستخدم:

    • IMPU (الهوية العامة متعددة الوسائط) - SIP URI (مثل: sip:+33612345678@ims.mnc001.mcc001.3gppnetwork.org)
    • IMPI (الهوية الخاصة متعددة الوسائط) - اسم المستخدم للمصادقة (مثل: user@ims.mnc001.mcc001.3gppnetwork.org)
    • IMSI (الهوية الدولية لمشترك الهاتف المحمول) - م�� رؤوس P أو HSS
    • MSISDN (رقم الهاتف المحمول) - من IMPU أو ملف المستخدم HSS

  • بيانات التعريف عن التسجيل:

    • URI الاتصال (عنوان الشبكة الفعلي لجهاز المستخدم)
    • رأس المسار (العودة عبر P-CSCF)
    • رأس Service-Route (التوجيه إلى S-CSCF)
    • سلسلة User-Agent (تحديد نوع الجهاز)
    • الطابع الزمني لانتهاء التسجيل
    • عنوان IP وميناء المصدر
    • بروتوكول النقل (TCP/UDP/TLS)
    • متجهات المصادقة (RAND، AUTN، XRES، CK، IK من HSS)

  • معلومات الموقع الشبكي:

    • رأس P-Access-Network-Info (برج الخلية، منطقة الموقع)
    • P-Visited-Network-ID (تحديد شبكة التجوال)
    • عنوان IP المستلم (المصدر الفعلي)
    • عنوان P-CSCF (نقطة دخول الشبكة)

التقاط جلسة المكالمات:

يحافظ S-CSCF على حالة حوار SIP الكاملة لجميع المكالمات النشطة:

  • معرفات الجلسة:

    • Call-ID (معرف الجلسة الفريد)
    • From/To URIs والعلامات
    • مجموعات التوجيه للطرفين
    • Original-Dialog-ID (لتتبع تفاعل خادم التطبيق)

  • بيانات التعريف عن الجلسة:

    • هوية المتصل (رأس From، P-Asserted-Identity)
    • الطرف المدعو (رأس To، Request-URI)
    • الطابع الزمني لإنشاء الجلسة
    • الطابع الزمني لإنهاء الجلسة
    • حالة الحوار (مبكر/مؤكد/محذوف)
    • أرقام CSeq (تسلسل المعاملات)

  • معلومات الوسائط:

    • SDP (بروتوكول وصف الجلسة) في أجسام رسائل SIP
    • عناوين خادم الوسائط (OmniTAS)
    • معلومات الترميز (تنسيقات الصوت/الفيديو)
    • نقاط نهاية تدفق الوسائط
    • تخصيصات منفذ RTP/RTCP

تحديد المكالمات الطارئة:

يحدد مكون E-CSCF ويوجه المكالمات الطارئة:

  • اكتشاف رقم الطوارئ (112، 911، إلخ)
  • التقاط IMEI (الهوية الدولية للمعدات المحمولة)
  • رسم خريطة IMEI إلى MSISDN (للاتصال العائد)
  • معلومات الموقع من UE أو الشبكة
  • دعم بروتوكول HELD (تسليم الموقع المعتمد على HTTP)
  • وجهة التوجيه الطارئة (PSAP/AS الطوارئ)

1.2.2 تخزين البيانات ومعالجتها​

مهم: حالة الذاكرة فقط

تحافظ مكونات CSCF (P-CSCF، E-CSCF، I-CSCF، S-CSCF) على جميع بيانات الحالة في الذاكرة فقط. لا يوجد تخزين قاعدة بيانات دائم لبيانات التسجيل أو جلسات المكالمات. يتم تخزين جميع روابط التسجيل، وحالة الحوار، وارتباطات الأمان IPsec في الذاكرة وتفقد عند إعادة تشغيل النظام.

بيانات التسجيل النشطة (في الذاكرة):

يحافظ نظام CSCF على حالة حقيقية في الوقت الحقيقي فقط:

حالة تسجيل P-CSCF:

  • بيانات ارتباط أمان IPsec (أزواج SPI، المنافذ، معلمات التشفير)
  • روابط الاتصال لجهاز المستخدم وعناوين الشبكة
  • نقاط نهاية نفق IPsec والحالة
  • فترات صلاحية التسجيل

حالة تسجيل S-CSCF:

  • الهويات العامة (IMPU) وحالة التسجيل الحالية
  • روابط الاتصال مع رؤوس Path، User-Agent، العناوين المستلمة
  • رسم خرائط الهوية الخاصة (IMPI) إلى الهوية العامة
  • ملفات تعريف المستخدمين من HSS (مخزنة مؤقتًا أث��اء التسجيل)

حالة الجلسة النشطة (في الذاكرة):

يحافظ S-CSCF على حالة المكالمات النشطة فقط:

  • معرفات المكالمات (Call-ID)، هويات المشاركين (From/To tags)
  • مجموعات التوجيه وعناوين الاتصال
  • حالة الجلسة (مبكر/مؤكد/منتهي)
  • معلومات توقيت الجلسة

لا توجد سجلات CDR أو تتبع تاريخي:

لا تقوم مكونات CSCF بإنشاء أو تخزين:

  • سجلات تفاصيل المكالمات (CDRs)
  • سجلات المكالمات التاريخية
  • سجلات التسجيل التاريخية
  • تتبع الأحداث على المدى الطويل

توليد CDR والتتبع التاريخي: يتم التعامل مع جميع سجلات تفاصيل المكالمات، وبيانات الشحن، والتتبع التاريخي للمكالمات بواسطة TAS (خادم تطبيق الهاتف - OmniTAS)، وليس من قبل مكونات CSCF.

تسجيل رسائل SIP/Diameter:

يمكن لـ CSCFs إنشاء سجلات أحداث في الوقت الحقيقي لأغراض التشغيل:

  • تسجيل رسائل SIP: تسجيل اختياري لرسائل SIP (INVITE، REGISTER، إلخ)
  • تسجيل رسائل Diameter: تسجيل اختياري لمعاملات Diameter (Cx، Rx، Ro)
  • أحداث النظام: تغييرات التكوين، الأخطاء، الفشل

تكون هذه السجلات سجلات تشغيل مؤقتة، وليست سجلات مكالمات دائمة. يتم تكوين الاحتفاظ بالسجلات وعادة ما يكون قصير الأجل (ساعات إلى أيام) لأغراض تصحيح الأخطاء فقط.

1.2.3 قدرات التحليل​

المراقبة في الوقت الحقيقي:

يوفر لوحة التحكم Phoenix LiveView:

  • مراقبة التسجيل:

    • عرض جميع المستخدمين المسجلين مع تقسيم الصفحات
    • البحث حسب IMPU، الاتصال، IMPI
    • تفاصيل التسجيل (الاتصال، المسار، وكيل المستخدم، انتهاء الصلاحية)
    • القدرة على إلغاء التسجيل القسري

  • مراقبة الحوار:

    • عرض جلسات المكالمات النشطة
    • Call-ID، From/To URIs، الحالة، المدة
    • القدرة على إنهاء المكالمات (إرسال BYE)
    • تحديث تلقائي كل 5 ثوانٍ

  • حالة النظام:

    • حالة نظير Diameter (HSS، PCRF، OCS)
    • حالة بوابة الوا��هة الأمامية
    • مقاييس سعة النظام
    • سعة نفق IPsec (P-CSCF)

ملاحظة حول البيانات التاريخية:

لا تحافظ مكونات CSCF على البيانات التاريخية. للحصول على سجلات المكالمات التاريخية، وCDRs، وتحليل أنماط الاتصال، يجب على سلطات الاعتراض القانونية التنسيق مع OmniTAS (خادم تطبيق الهاتف)، الذي يتعامل مع جميع توليد CDR والتتبع الطويل الأجل للمكالمات.

رؤية تفعيل الخدمة في الوقت الحقيقي:

يعالج S-CSCF معايير التصفية الأولية (iFC) في الوقت الحقيقي:

  • تقييم iFC يحدد أي خوادم تطبيقات يتم تفعيلها لكل مكالمة
  • رؤية في الوقت الحقيقي حول الخدمات التي يتم استدعاؤها
  • قرارات توجيه خادم التطبيق مرئية في تدفق رسائل SIP

حالة الشبكة:

  • حالة الاتصال بـ HSS (واجهة Diameter Cx)
  • توزيع اختيار S-CSCF (I-CSCF)
  • أنماط توجيه المكالمات
  • أوقات استجابة خادم التطبيق
  • أداء معاملات Diameter

1.3 قدرات التدابير المضادة​

1.3.1 آليات حماية الخصوصية​

سرية الاتصالات:

  • أنفاق IPsec: أنفاق ESP (حمل الأمان المغلف) بين UE وP-CSCF

    • التشفير: AES-CBC، AES-GCM
    • المصادقة: HMAC-SHA1، HMAC-SHA256
    • اشتقاق المفاتيح من IMS AKA (CK/IK من HSS)
    • ارتباطات أمان لكل جهاز مستخدم

  • دعم TLS/TLS:

    • دعم SIP عبر TLS (SIPS)
    • Diameter عبر TLS (HSS، PCRF، اتصالات OCS)
    • مصادقة قائمة على الشهادات
    • السرية التامة للأمام (PFS) عبر ECDHE/DHE

  • رؤوس خصوصية SIP:

    • P-Asserted-Identity (معرف المتصل المعتمد)
    • رأس الخصوصية (طلب كتم صوت معرف المتصل)
    • دعم الجلسات المجهولة

التحكم في الوصول:

  • مصادقة واجهة الويب والتحكم في الوصول
  • واجهة BINRPC لواجهة التحكم (المنفذ 2046)
  • ضوابط الوصول إلى السجل وفصل الأدوار
  • مصادقة SIP (AKA عبر HSS)
  • مصادقة نظير Diameter

تسجيل التدقيق:

  • تسجيل شامل لرسائل SIP وDiameter
  • أحداث التسجيل/إلغاء التسجيل
  • أحداث إنشاء وإنه��ء المكالمات
  • الإجراءات الإدارية عبر واجهة الويب
  • تغييرات التكوين
  • نجاح/فشل المصادقة

1.3.2 ميزات حماية البيانات​

أمان الوصول:

  • التحكم في الوصول القائم على الأدوار (RBAC)
  • حسابات مراقبة للقراءة فقط
  • ضوابط المصادقة والتفويض

تقوية النظام:

  • الحد الأدنى من المنافذ الشبكية المكشوفة (5060 SIP، 3868 Diameter، 8086 واجهة الويب)
  • التحقق من صحة رسائل SIP
  • منع حلقات Max-Forwards
  • تحديد المعدل والحماية من الفيضانات
  • حدود حجم الرسالة
  • عزل عمليات العمل

1.4 نقاط تكامل الاعتراض القانوني​

1.5.1 بنية الاعتراض القانوني ETSI​

يوفر نظام CSCF الأساس للاعتراض القانوني المتوافق مع ETSI. بينما لا توجد واجهات X1/X2/X3 مدمجة، توجد جميع نقاط الوصول اللازمة للتكامل مع أنظمة وظيفة الوساطة للاعتراض القانوني (LIMF) الخارجية.

واجهات LI القياسية ETSI:

واجهة X1 - وظيفة الإدارة:

  • الغرض: توفير الأوامر والأهداف من سلطات إنفاذ القانون
  • الاتجاه: LEMF → LIMF (ثنائي الاتجاه)
  • الوظائف:
    • تفعيل/إلغاء تفعيل الاعتراض للأهداف (IMPUs، IMSIs، MSISDNs)
    • تعيين مدة الاعتراض وفترة الصلاحية
    • تكوين معايير التصفية (الهويات، نوافذ الوقت)
    • استرجاع حالة الاعتراض
  • التكامل مع CSCF:
    • يحتفظ LIMF بقاعدة بيانات الأوامر (قائمة الأهداف - خارج CSCF)
    • يراقب LIMF حالة CSCF في الوقت الحقيقي وسجلات الرسائل لجلسات المطابقة
    • يقوم LIMF بالتصفية بناءً على معايير X1 المخصصة

واجهة X2 - تسليم IRI (معلومات متعلقة بالاعتراض):

  • الغرض: تسليم بيانات التعريف عن الجلسة إلى سلطات إنفاذ القانون
  • الاتجاه: LIMF → LEMF (اتجاه واحد)
  • تنسيق البيانات: متوافق مع ETSI TS 102 232 XML/ASN.1
  • المحتوى من CSCF:
    • معرفات الجلسة (Call-ID، علامات الحوار)
    • الطرف المتصل (From URI، P-Asserted-Identity، IMPU، IMSI، MSISDN)
    • الطرف المدعو (To URI، Request-URI، IMPU، IMSI، MSISDN)
    • طوابع تسجيل
    • طوابع إعداد/إيقاف الجلسة
    • الموقع الشبكي (P-Access-Network-Info، برج الخلية، منطقة الموقع)
    • عناوين P-CSCF/S-CSCF (تحديد عنصر الشبكة)
    • وكيل المستخدم (نوع الجهاز)
    • معلومات التجوال (P-Visited-Network-ID)

وا��هة X3 - تسليم CC (محتوى الاتصال):

  • الغرض: تسليم محتوى الاتصالات الفعلي
  • الاتجاه: LIMF → LEMF (اتجاه واحد)
  • تنسيق البيانات: متوافق مع ETSI TS 102 232
  • المحتوى من CSCF:
    • أجسام رسائل SIP (وصف الجلسة SDP)
    • عناوين خادم الوسائط (للاحتجاز RTP)
    • معلومات الترميز
    • رسائل SIP MESSAGE (محتوى الجسم)
    • بيانات التطبيق (إذا تم توجيهها عبر CSCF)

ملاحظة: بالنسبة لتدفقات RTP الصوتية/الفيديو، يجب على LIMF أيضًا التكامل مع خوادم الوسائط (OmniTAS) لالتقاط المحتوى الإعلامي الفعلي. يوفر CSCF معلومات إعداد الجلسة (SDP) التي توضح مكان تدفق الوسائط.

1.5.2 مصادر بيانات CSCF للاعتراض القانوني​

1. الوصول إلى بيانات التسجيل:

بيانات تسجيل P-CSCF:

  • IMPU (الهوية العامة)
  • URI الاتصال (عنوان الشبكة لجهاز المستخدم)
  • IP والميناء المستلم
  • رأس المسار
  • انتهاء صلاحية التسجيل
  • معلومات SPI والميناء IPsec
  • سلسلة User-Agent

بيانات تسجيل S-CSCF:

  • الهويات العامة (IMPU)، حالة الحظر، حالة التسجيل
  • روابط الاتصال مع رؤوس Path، User-Agent، العناوين المستلمة
  • رسم خرائط الهوية الخاصة (IMPI) إلى الهوية العامة
  • ملفات تعريف المستخدمين من HSS (تنسيق XML بما في ذلك تفاصيل المشترك)

طرق الوصول:

  • واجهات وصول البيانات للقراءة فقط
  • واجهة مراقبة واجهة الويب
  • تسجيل أحداث في الوقت الحقيقي

2. بيانات الجلسة النشطة:

بيانات حوار S-CSCF:

  • Call-ID (معرف الجلسة الفريد)
  • From/To URIs والعلامات
  • أرقام CSeq للمتصل والمدعو
  • مجموعات التوجيه للطرفين
  • عناوين الاتصال
  • حالة الحوار (مبكر، مؤكد، محذوف)
  • الطابع الزمني للبداية
  • قيم المهلة

طرق الوصول:

  • مراقبة حالة الحوار في الوقت الحقيقي
  • الاستعلام بواسطة معرفات الجلسة أو معرفات الأطراف
  • قدرات التصدير للتحليل الجنائي

3. تسجيل رسائل SIP:

التقاط السجلات:

  • يمكن تسجيل جميع رسائل SIP (REGISTER، INVITE، MESSAGE، إلخ)
  • مستويات السجل القابلة للتكوين
  • تسجيل منظم مع الطوابع الزمنية
  • تسجيل Syslog أو تسجيل قائم على الملفات

تحليل السجلات:

  • تحليل رؤوس SIP لاستخراج الهوية
  • استخراج SDP لمعلومات الوسائط
  • تتبع تسلسل الرسائل (CSeq)
  • ربط الطلبات والاستجابات

مثال على إدخال السجل:

INFO: INVITE sip:+33687654321@ims.mnc001.mcc001.3gppnetwork.org SIP/2.0
From: <sip:+33612345678@ims.mnc001.mcc001.3gppnetwork.org>;tag=abc123
To: <sip:+33687654321@ims.mnc001.mcc001.3gppnetwork.org>
Call-ID: f81d4fae-7dec-11d0-a765-00a0c91e6bf6@ims.mnc001.mcc001.3gppnetwork.org
P-Asserted-Identity: <sip:+33612345678@ims.mnc001.mcc001.3gppnetwork.org>
P-Access-Network-Info: 3GPP-E-UTRAN-FDD; utran-cell-id-3gpp=208011234567890
Content-Type: application/sdp

v=0
o=- 1234567890 1234567890 IN IP4 192.168.1.100
s=-
c=IN IP4 10.20.30.40
t=0 0
m=audio 49170 RTP/AVP 0 8
a=rtpmap:0 PCMU/8000
a=rtpmap:8 PCMA/8000

4. تسجيل رسائل Diameter:

رسائل Cx (التواصل مع HSS):

  • UAR/UAA: تفويض المستخدم (يحتوي على IMPU، IMPI)
  • LIR/LIA: معلومات الموقع (يحتوي على IMPU، S-CSCF الخدمي)
  • MAR/MAA: المصادقة (يحتوي على IMPI، متجهات المصادقة)
  • SAR/SAA: تعيين الخادم (يحتوي على IMPU، IMPI، ملف تعريف المستخدم XML)

بيانات Diameter المتاحة:

  • IMSI (من ملف تعريف المستخدم)
  • MSISDN (من ملف تعريف المستخدم)
  • IMPUs المرتبطة (هويات متعددة لكل مشترك)
  • ملف تعريف المستخدم (الخدمات، الحظر، حالة التجوال)

مثال على السجل:

Diameter Cx SAA received from HSS:
User-Name: user@ims.mnc001.mcc001.3gppnetwork.org
Public-Identity: sip:+33612345678@ims.mnc001.mcc001.3gppnetwork.org
Server-Name: sip:scscf.ims.mnc001.mcc001.3gppnetwork.org
Result-Code: 2001 (Success)
User-Data: <XML user profile with IMSI, MSISDN, iFC>

5. بيانات المكالمات الطارئة (E-CSCF):

رسم خريطة IMEI إلى MSISDN:

  • ينشئ P-CSCF رسم خريطة عند تسجيل UE مع IMEI
  • TTL (مدة الحياة) 24 ساعة
  • يستخدم للاتصال العائد الطارئ
  • متزامن عبر عقد مجموعة P-CSCF

احتفاظ البيانات:

  • يتم الاحتفاظ برسم خريطة IMEI إلى MSISDN لمدة 24 ساعة
  • متاح لتوافق الاتصال العائد الطارئ
  • يمكن الوصول إليه عبر واجهات المراقبة

سجلات المكالمات الطارئة:

  • اكتشاف رقم الطوارئ (112، 911، إلخ)
  • استخراج IMEI من الاتصال أو رؤوس P
  • معلومات الموقع (من HELD أو P-Access-Network-Info)
  • توجيه PSAP (نقطة الإجابة العامة للطوارئ)
  • توجيه E-CSCF إلى AS الطوارئ

1.5.3 قدرات التكامل لـ LIMF​

يوفر النظام طرق تكامل متعددة لأنظمة وظيفة الوساطة للاعتراض القانوني (LIMF):

  1. الوصول إلى بيانات التسجيل والجلسة:

    • الوصول في الوقت الحقيقي إلى بيانات التسجيل (الهويات، المواقع، معلومات الجهاز)
    • مراقبة الجلسات النشطة (حالة المكالمات، المشاركين، التوقيت)
    • قدرات الاستعلام التاريخي

  2. تسجيل الأحداث:

    • تسجيل رسائل SIP مع مستويات تفصيل قابلة للتكوين
    • تسجيل رسائل Diameter لتفاعلات HSS
    • سجلات أحداث منظمة مع الطوابع الزمنية

  3. المر��قبة في الوقت الحقيقي:

    • مراقبة حالة التسجيل الحية
    • تتبع جلسات المكالمات النشطة
    • اكتشاف المكالمات الطارئة ومعلومات التوجيه

تدعم طرق التكامل كل من الهياكل المعتمدة على الاستطلاع والهياكل المعتمدة على الأحداث لتوصيل LIMF.

1.5.4 رسم بيانات CSCF إلى واجهات LI​

رسم بيانات CSCF إلى IRI (X2):

مصدر بيانات CSCFحقل IRIمثال البيانات
IMPU (رؤوس SIP/حالة في الذاكرة)الطرف Asip:+33612345678@ims.mnc001.mcc001.3gppnetwork.org
IMPI (رؤوس SIP/حالة في الذاكرة)معرف المصادقةuser@ims.mnc001.mcc001.3gppnetwork.org
IMSI (ملف تعريف مستخدم HSS)معرف المشترك208011234567890
MSISDN (ملف تعريف مستخدم HSS)رقم الهاتف+33612345678
Call-ID (رؤوس SIP/حالة الحوار)معرف الجلسةf81d4fae-7dec-11d0-a765-00a0c91e6bf6@...
From/To (رؤوس SIP)الطرف A/الطرف Bsip:+33612345678@... / sip:+33687654321@...
الطابع الزمني للتسجيل (في الذاكرة)وقت الحدث2025-11-29T10:30:00Z
P-Access-Network-Info (رأس SIP)الموقع3GPP-E-UTRAN-FDD;utran-cell-id-3gpp=208011234567890
IP المستلم (الاتصال SIP)عنوان IP لجهاز المستخدم10.20.30.40:5060
عنوان P-CSCF (توجيه SIP)عنصر الشبكة10.4.12.165:5060
عنوان S-CSCF (توجيه SIP)عنصر الشبكة10.4.11.45:5060

رسم بيانات CSCF إلى CC (X3):

مصدر بيانات CSCFحقل CCمثال البيانات
جسم رسالة SIPمحتوى الرسالة الفورية"مرحبًا، كيف حالك؟"
SDP في INVITEمعلومات جلسة الوسائطنقاط نهاية RTP، الترميزات
عنوان خادم الوسائطهدف احتجاز RTP10.50.60.70:49170

ملاحظة: بالنسبة للمحتوى الصوتي/الفيديو الفعلي (RTP)، يجب على LIMF التنسيق مع خوادم الوسائط (OmniTAS) لالتقاط تدفقات RTP. يوفر CSCF معلومات إعداد الجلسة فقط.

1.5 واجهة المراقبة المستندة إلى الويب​

يتضمن النظام لوحة تحكم مستندة إلى الويب للمراقبة في الوقت الحقيقي والوصو�� الإداري:

قدرات المراقبة:

  • حالة التسجيل في الوقت الحقيقي (المشتركين النشطين، المواقع، معلومات الجهاز)
  • مراقبة جلسات المكالمات النشطة (المشاركون، حالة المكالمات، التوقيت)
  • البحث والتصفية حسب الهوية (IMPU، IMPI، IMSI، MSISDN)
  • حالة نفق IPsec ومراقبة السعة
  • قدرات التصدير للتحليل الجنائي

الأمان:

  • وصول مشفر عبر HTTPS/TLS
  • المصادقة مطلوبة
  • تسجيل تدقيق لجميع الإجراءات الإدارية
  • أوضاع وصول للقراءة فقط لموظفي المراقبة

2. قدرات التشفير وتحليل التشفير​

2.1 نظرة عامة على القدرات التشفيرية​

تنفذ OmniCSCF طبقات متعددة من الحماية التشفيرية لإشارات البيانات وبيانات المشتركين. توثق هذه القسم جميع القدرات التشفيرية كما هو مطلوب من ANSSI.

2.2 تشفير نفق IPsec ESP (من UE إلى P-CSCF)​

2.2.1 تنفيذ بروتوكول IPsec​

وضع IPsec المدعوم:

  • ESP (حمل الأمان المغلف) - بروتوكول IP 50
  • وضع النقل (ليس وضع النفق)
  • يحمي إشارات SIP بين UE وP-CSCF

خوارزميات التشفير المدعومة:

يدعم النظام مع IPsec في النواة:

  • AES-CBC (معيار التشفير المتقدم - سلسلة الكتل):

    • AES-128-CBC (مفتاح 128 بت)
    • AES-192-CBC (مفتاح 192 بت)
    • AES-256-CBC (مفتاح 256 بت) - موصى به

  • AES-GCM (معيار التشفير المتقدم - وضع Galois/Counter):

    • AES-128-GCM (مفتاح 128 بت مع AEAD)
    • AES-256-GCM (مفتاح 256 بت مع AEAD) - موصى به

  • 3DES-CBC (Triple DES - سلسلة الكتل):

    • مفتاح فعال 168 بت (مهجور، توافق مع الأنظمة القديمة)

  • تشفير NULL:

    • لا سرية (مصادقة فقط)
    • يستخدم فقط لأغراض تصحيح الأخطاء أو سيناريوهات الامتثال المحددة

خوارزميات المصادقة المدعومة:

  • HMAC-SHA1 (رمز مصادقة الرسائل المعتمد على الهاش - SHA-1):

    • مخرجات 160 بت
    • توافق مع الأنظمة القديمة

  • HMAC-SHA256 (HMAC - SHA-256):

    • مخرجات 256 بت
    • موصى به

  • HMAC-SHA384 (HMAC - SHA-384):

    • مخرجات 384 بت

  • HMAC-SHA512 (HMAC - SHA-512):

    • مخرجات 512 بت

  • HMAC-MD5:

    • مخرجات 128 بت
    • مهجور، توافق مع الأنظمة القديمة فقط

اشتقاق المفاتيح:

تشتق مفاتيح IPsec (CK - مفتاح التشفير، IK - مفتاح السلامة) من مصادقة IMS AKA:

  1. يقوم UE بإجراء مصادقة AKA مع S-CSCF/HSS
  2. يقوم HSS بإنشاء CK (128 بت) وIK (128 بت)
  3. يقوم S-CSCF بتسليم CK/IK إلى P-CSCF عبر واجهة داخلية
  4. يستخدم P-CSCF CK/IK لإنشاء ارتباطات أمان IPsec مع UE
  5. يستخدم CK لتشفير ESP
  6. يستخدم IK لمصادقة ESP

معلمات ارتباط الأمان:

  • مدة الحياة: مرتبطة بانتهاء صلاحية تسجيل SIP (عادة 599 ثانية)
  • حماية من إعادة التشغيل: مفعلة (نافذة مضادة لإعادة التشغيل)
  • أرقام التسلسل: 32 بت أو 64 بت (ESN - أرقام التسلسل الموسعة)
  • سرية تامة للأمام: غير قابلة للتطبيق (المفاتيح من AKA، وليس Diffie-Hellman)

التنفيذ:

تتمتع P-CSCF بقدرة IPsec:

  • تتفاعل مع كومة IPsec في نواة Linux (إطار XFRM)
  • تقوم بتكوين سياسات الأمان والارتباطات عبر واجهة النواة
  • تخصيص وإدارة SPI (مؤشر معلمة الأمان)
  • تخصيص المنفذ لحركة المرور المحمية

2.2.2 قدرات تكوين IPsec​

اختيار مجموعة التشفير:

يمكن تكوين P-CSCF لتفضيل مجموعات تشفير معينة:

المفضل (أمان قوي):

  • ESP مع AES-256-GCM وHMAC-SHA256
  • ESP مع AES-256-CBC وHMAC-SHA256

المدعوم (توافق):

  • ESP مع AES-128-CBC وHMAC-SHA1
  • ESP مع 3DES-CBC وHMAC-SHA1 (قديم)

إدارة المفاتيح:

  • IKE (تبادل المفاتيح عبر الإنترنت) لا يُستخدم
  • يتم توفير المفاتيح عبر IMS AKA (CK/IK من HSS)
  • إعداد ارتباط الأمان يدويًا عبر XFRM النواة
  • تدمير تلقائي للارتباط عند انتهاء التسجيل

دورة حياة النفق:

  1. يسجل UE → مصادقة AKA → يتم إنشاء CK/IK
  2. يتلقى P-CSCF CK/IK من S-CSCF
  3. يخصص P-CSCF زوج SPI (SPI العميل، SPI الخادم)
  4. يخصص P-CSCF زوج المنفذ (منفذ العميل، منفذ الخادم)
  5. يقوم P-CSCF بتكوين ارتباطات الأمان IPsec في النواة باستخدام CK/IK
  6. يرسل P-CSCF معلمات IPsec إلى UE في 200 OK (رأس Security-Server)
  7. يقوم UE بتكوين ارتباطات الأمان IPsec بنفس المعلمات
  8. تتدفق جميع حركة مرور SIP اللاحقة عبر أنفاق ESP
  9. عند انتهاء التسجيل أو إلغاء التسجيل: يتم حذف SAs، وتحرير الموارد

2.3 تشفير TLS (SIP وDiameter)​

2.3.1 TLS لـ SIP (SIPS)​

إصدارات TLS المدعومة:

  • TLS 1.2 (RFC 5246) - مدعوم
  • TLS 1.3 (RFC 8446) - مدعوم (إذا كان هناك دعم من النواة/المكتبة)
  • TLS 1.0/1.1 - مهجور (معطل بشكل افتراضي)
  • SSL 2.0/3.0 - غير مدعوم (ثغرات معروفة)

تنفيذ TLS:

يستخدم النظام OpenSSL أو LibreSSL:

  • مكتبات TLS معيارية
  • تنفيذات تم التحقق منها تشفيرياً
  • تحديثات أمان منتظمة

مجموعات التشفير المدعومة:

TLS 1.3 (المفضل):

  • TLS_AES_256_GCM_SHA384
  • TLS_AES_128_GCM_SHA256
  • TLS_CHACHA20_POLY1305_SHA256

TLS 1.2 (مدعوم):

  • ECDHE-RSA-AES256-GCM-SHA384 (سرية تامة للأمام)
  • ECDHE-RSA-AES128-GCM-SHA256 (سرية تامة للأمام)
  • ECDHE-ECDSA-AES256-GCM-SHA384 (سرية تامة للأمام)
  • DHE-RSA-AES256-GCM-SHA384 (سرية تامة للأمام)
  • DHE-RSA-AES128-GCM-SHA256 (سرية تامة للأمام)

تم تعطيل الخوارزميات الضعيفة:

  • لا RC4
  • لا MD5
  • لا تشفير NULL
  • لا خوارزميات من مستوى EXPORT
  • لا DES/3DES (مهجور)

دعم الشهادات:

  • شهادات X.509 (تنسيق قياسي)
  • مفاتيح RSA: الحد الأدنى 2048 بت، 4096 بت موصى به
  • مفاتيح ECDSA: منحنيات P-256، P-384، P-521 مدعومة
  • التحقق من سلسلة الشهادات
  • التحقق من CRL (قائمة إلغاء الشهادات) (اختياري)
  • OCSP (بروتوكول حالة الشهادة عبر الإنترنت) (اختياري)

ميزات TLS:

  • سرية تامة للأمام (PFS): عبر تبادل المفاتيح ECDHE/DHE
  • إشارة اسم الخادم (SNI): مدعومة
  • استئناف جلسة TLS: مدعوم (تحسين الأداء)
  • مصادقة شهادة العميل: مدعومة (TLS المتبادل)

SIP عبر TLS (SIPS):

  • النقل: TCP مع تشفير TLS
  • المنفذ: 5061 (المنفذ القياسي لـ SIPS)
  • يستخدم للتواصل بين CSCF (اختياري)
  • يستخدم للاتصالات عبر الشبكات الموثوقة

2.3.2 TLS لـ Diameter​

قدرات Diameter:

يدعم النظام:

  • Diameter عبر SCTP (المفضل من أجل الموثوقية)
  • Diameter عبر TCP مع TLS
  • المنفذ: 3868 (المنفذ القياسي لـ Diameter)

حالات الاستخدام:

  • واجهة Cx: S-CSCF/I-CSCF إلى HSS (بيانات المشترك، المصادقة)
  • واجهة Rx: P-CSCF إلى PCRF (سياسة QoS)
  • واجهة Ro: S-CSCF إلى OCS (الشحن عبر الإنترنت - إذا تم تمكينه)

تكوين TLS لـ Diameter:

نفس مجموعات التشفير مثل SIP

  • TLS 1.2/1.3
  • تبادل المفاتيح ECDHE/DHE (PFS)
  • تشفير AES-GCM
  • مصادقة SHA256/SHA384

المصادقة المعتمدة على الشهادات:

  • تقوم نظائر Diameter بالمصادقة عبر شهادات TLS
  • TLS المتبادل (شهادات العميل والخادم)
  • التحقق من FQDN (اسم النطاق المؤهل بالكامل) في الشهادات
  • التحقق من سلسلة CA الموثوقة

2.4 تشفير المصادقة​

2.4.1 وظائف التشفير IMS AKA​

خوارزمية 3GPP AKA (MILENAGE):

تستخدم لتوليد متجهات المصادقة (RAND، AUTN، XRES، CK، IK):

وظائف التشفير:

  • f1: وظيفة مصادقة الرسائل (حساب MAC-A وMAC-S)
  • f2: وظيفة الاستجابة (حساب RES من RAND وK)
  • f3: اشتقاق مفتاح التشفير (حساب CK)
  • f4: اشتقاق مفتاح السلامة (حساب IK)
  • f5: وظيفة مفتاح الخصوصية (حساب AK لخصوصية IMSI)

مادة المفتاح:

  • K: مفتاح مشترك دائم 128 بت (مخزن في ISIM وHSS)
  • OPc: مفتاح متغير مشغل (مشتق من K وOP)
  • RAND: تحدي عشوائي 128 بت
  • SQN: رقم تسلسل 48 بت (حماية من إعادة التشغيل)

تسلسل AKA:

  1. يقوم HSS بإنشاء RAND (عشوائي تشفيرياً)
  2. يقوم HSS بحساب MAC-A = f1(K، RAND، SQN، AMF)
  3. يقوم HSS بحساب AUTN = (SQN ⊕ AK) || AMF || MAC-A
  4. يقوم HSS بحساب XRES = f2(K، RAND)
  5. يقوم HSS بحساب CK = f3(K، RAND)
  6. يقوم HSS بحساب IK = f4(K، RAND)
  7. يرسل HSS {RAND، AUTN، XRES، CK، IK} إلى S-CSCF
  8. يتحدى S-CSCF UE باستخدام RAND وAUTN
  9. يقوم UE بحساب RES = f2(K، RAND) باستخدام ISIM
  10. يرسل UE RES إلى S-CSCF
  11. يقارن S-CSCF RES مع XRES (تحقق المصادقة)

خصائص الأمان:

  • المصادقة المتبادلة: يتحقق UE من HSS عبر AUTN، ويتحقق HSS من UE عبر RES
  • جدة المفتاح: RAND عشوائي، SQN يمنع إعادة التشغيل
  • اشتقاق المفتاح: CK وIK مشتقة من السر المشترك K

2.4.2 المصادقة عبر HTTP Digest​

للمصادقة غير IMS (إذا تم استخدامها):

الخوارزمية: MD5 (RFC 2617)

  • دالة الهاش: MD5 (مخرجات 128 بت)
  • التحدي-الاستجابة: بناءً على nonce
  • حماية من إعادة التشغيل: nonce مع الطابع الزمني

ملاحظة: تعتبر المصادقة عبر HTTP Digest مع MD5 ضعيفة. يُفضل استخدام IMS AKA بشكل قوي.

2.5 الهاش والسلامة​

2.5.1 دوال الهاش المتاحة​

يمكن للنظام استخدام (عبر OpenSSL/تشفير النواة):

  • SHA-256: مخرجات 256 بت، موصى به
  • SHA-384: مخرجات 384 بت
  • SHA-512: مخرجات 512 بت
  • SHA-1: مخرجات 160 بت، مهجور للاستخدام الأمني
  • MD5: مخرجات 128 بت، مهجور للاستخدام الأمني

الاستخدام:

  • إنشاء HMAC لـ IPsec/TLS
  • التحقق من سلامة البيانات
  • إنشاء nonce
  • الكشف عن التكرار (تشفير Call-ID)

2.5.2 سلامة الرسالة​

سلامة رسالة SIP:

  • IPsec ESP: HMAC-SHA256 لمصادقة SIP المعتمد عبر IPsec
  • TLS: مصادقة الرسالة عبر TLS MAC
  • تجزئة SIP: سلامة رأس المصادقة

سلامة رسالة Diameter:

  • TLS: يوفر Diameter عبر TLS مصادقة الرسالة
  • HMAC: يمكن أن تتضمن رسائل Diameter HMAC AVPs للسلامة

2.6 توليد الأرقام العشوائية​

توليد الأرقام العشوائية الآمنة تشفيرياً:

يعتمد النظام على:

  • نواة Linux /dev/urandom: مولد أرقام عشوائية آمن تشفيرياً
  • OpenSSL RAND_bytes(): CSPRNG (مولد الأرقام العشوائية الزائفة الآمن تشفيرياً)

الاستخدام:

  • تخصيص SPI (قيمة بدء عشوائية)
  • إنشاء Call-ID
  • إنشاء معلمات الفرع
  • إنشاء nonce للمصادقة
  • إنشاء معرف الجلسة

2.7 إدارة المفاتيح​

2.7.1 إدارة شهادات TLS​

تخزين الشهادات:

  • تخزين في نظام الملفات مع أذونات مقيدة (0600)
  • تقع في: /etc/system/tls/
  • تنسيق PEM للشهادات والمفاتيح

إنشاء الشهادات:

# توليد مفتاح خاص RSA 4096 بت
openssl genrsa -out system-key.pem 4096

# توليد CSR (طلب توقيع الشهادة)
openssl req -new -key system-key.pem -out system.csr \
  -subj "/C=FR/ST=IDF/L=Paris/O=Omnitouch/CN=scscf.ims.mnc001.mcc001.3gppnetwork.org"

# شهادة موقعة ذاتيًا (للتطوير/الاختبار)
openssl x509 -req -days 365 -in system.csr \
  -signkey system-key.pem -out system-cert.pem

# الإنتاج: تقديم CSR إلى CA موثوق

تدوير الشهادات:

  • يُوصى بتجديد الشهادات سنويًا
  • إعادة تشغيل الخدمة بسلاسة لتحميل الشهادات الجديدة
  • لا حاجة للتوقف

2.7.2 إدارة مفاتيح IPsec​

اشتقاق المفاتيح:

  • CK (مفتاح التشفير) وIK (مفتاح السلامة) من IMS AKA
  • مفاتيح 128 بت من HSS
  • تم تسليمها بأمان عبر Diameter Cx (عبر TLS)

مدة حياة المفتاح:

  • مرتبطة بانتهاء صلاحية تسجيل SIP (عادة 599 ثانية)
  • إعادة المفاتيح عند تحديث التسجيل
  • تدمير المفتاح تلقائيًا عند إلغاء التسجيل

تخزين المفتاح:

  • مؤقت (في الذاكرة فقط أثناء التسجيل النشط)
  • مثبت في كومة IPsec في النواة
  • لا يوجد تخزين مفتاح دائم
  • يتم التخلص من المفاتيح عند حذف SA

2.8 مقاومة تحليل التشفير​

2.8.1 اختيار الخوارزمية​

الدفاع ضد تحليل التشفير:

  • لا خوارزميات مخصصة: فقط خوارزميات معيارية، تمت مراجعتها من قبل الأقران
  • أحجام مفاتيح قوية: AES-256، RSA-4096، SHA-256
  • تشفير معتمد: AES-GCM (AEAD - تشفير معتمد مع بيانات مرتبطة)
  • سرية تامة للأمام: ECDHE/DHE في TLS
  • تحديثات منتظمة: تطبيق تصحيحات أمان OpenSSL/LibreSSL

الخوارزميات المهجورة معطلة:

  • MD5 (تصادمات الهاش)
  • RC4 (نقاط ضعف في خوارزمية التدفق)
  • DES/3DES (حجم كتلة صغير، طول مفتاح)
  • SSL 2.0/3.0 (ثغرات في البروتوكول)
  • TLS 1.0/1.1 (هجمات BEAST، POODLE)

2.8.2 التخفيف من هجمات القنوات الجانبية​

مقاومة هجمات التوقيت:

  • مقارنة في وقت ثابت لاستجابات المصادقة
  • لا تسريبات زمنية في العمليات التشفيرية (عبر OpenSSL)

حماية الذاكرة:

  • عزل كومة IPsec في النواة
  • عزل ذاكرة العمليات
  • لا تبادل للبيانات الحساسة (إذا تم تكوينه)

2.9 الامتثال والمعايير​

امتثال المعايير التشفيرية:

  • NIST SP 800-52: إرشادات TLS
  • NIST SP 800-131A: انتقالات خوارزميات التشفير
  • RFC 7525: توصيات TLS
  • ETSI TS 133 203: أمان الوصول 3GPP (IMS AKA)
  • ETSI TS 133 210: أمان طبقة الشبكة IP (IPsec)
  • 3GPP TS 33.203: أمان الوصول لـ IMS
  • 3GPP TS 33.210: أمان نطاق الشبكة

لوائح التشفير الفرنسية:

  • لا تشفير مقيد بالتصدير (جميع الخوارزميات القياسية)
  • وسائل التشفير القياسية (لا أبواب خلفية حكومية)
  • شهادة منتج تشفير ANSSI (إذا لزم الأمر)